UPD - 2.1 Announcement

https://d3ranged.github.io/blog_news_04_23/

SignFinder 2.0 - Уничтожаем сигнатурные антивирусы

С гордостью, представляем SignFinder 2.0! Первая версия навела шороху, NOD32 выпустил специальный патч мешающий чистке. Чтобы отвечать на все козни антивирусов, потребовалась расширяемая архитектура. Появилась интерактивная консоль, команды, добавляемые плагинами, алиасы, проекция виртуальных адресов, поддержка ELF, и многое другое, что нужно для комфортной чистки.

Софт работает на Python3.8+ и поддерживает Windows, Linux и Mac.

Чистка не выходя из консоли

https://user-images.githubusercontent.com/84067620/210127053-872f1692-0e09-4944-b603-fc99eb13180b.mp4

Ломаем неизвестные сигнатуры

По адресу 7477 расположена строка "Script already executed".

Распаковав базу ClamAV, видим сигнатуру:

daily.ldb:Win.Spyware.Zbot-9841872-0;Engine:81-255,Target:1;0&1&2&3&4;

Сигнатура сработает, если будут найдены следующие 5 строк:

• Internal command error at line %u.
• Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
• grab_%S_%02u_%02u_%02u.bin
• Script already executed.
• Unknown command at line %u.

Мы сломали сигнатуру, ничего о ней не зная!

Разберем некоторые команды

python sf2.py Запуск скрипта

help Справка, детали о команде: help alias

cls Очистка экрана

load samples/zeus Загрузка рабочего файла, добавляет связанные с файлом команды

info Подробности о файлах, можно указывать номер файла info 3

pe Вызов парсера заголовков PE32. Добавляет переменные ($body, $head и другие) с адресами внутри файла

alias Список доступных алиасов, стандартные в файле auto_config, можно менять и после запуска

var Переменные, для обмена информацией между командами

div $body Наш основной инструмент. Делит заданный участок внутри файла на N частей, по очереди затирает их

sf Алиас, запускающий ClamAV и показывающий список удаленных им файлов

vd VisualDiff, рисует графику для наглядности, в каком файле что было удалено

half p2 -n 3 Аналогичный div инструмент чистки, делит пополам, затем ещё и ещё

echo Выводит текст и специальные переменные

Это далеко не все возможности SF2, черновик документации содержит 30 тысяч знаков и продолжает расти.

Что будет в следующих релизах?

• Полноценная документация
• Детальный разбор обхода других антивирусов теми же инструментами
• Фикс багов, в проекте такого объема они точно есть
• Новые инструменты, открыт для ваших предложений
• Поддержка Mach-O и других форматов
• SDK для создания плагинов

Обратная связь

Мне можно написать на почту или сообщить об ошибке

Спасибо всем, кто сделал релиз возможным!

Если вам нравится этот проект, поддержите его любой суммой:

BTC: bc1qaqcwqj0vsvumxdkxe9klg6k8aumgfgh4vvatuf